Fluch oder Segen?

Welche Regelungen gelten?

Für Arbeitgeber ist wichtig, dass der Paragraph 32 des Bundesdatenschutzgesetzes wahrscheinlich weiter fortbestehen wird. Dieser besagt, dass personenbezogene Daten eines Beschäftigten für Zwecke des Beschäftigungsverhältnisses erhoben, verarbeitet oder genutzt werden dürfen. Grund für das mögliche Weiterbestehen der Regelung ist Artikel 88 Absatz 1 DS-GVO. Dieser enthält eine oben beschriebene Öffnungsklausel. Somit können spezifischere Regelungen zum Datenschutz im Beschäftigungskontext durch den nationalen Gesetzgeber selbst geschaffen werden. Weiterhin wird auch die Möglichkeit der Verarbeitung personenbezogener Daten auf der Grundlage einer Kollektivvereinbarung bestehen bleiben. Das sind dann die Betriebsvereinbarungen und Tarifverträge. Der in der Personalpraxis gute Weg, die Betriebsvereinbarung als Erlaubnistatbestand zur Datenverarbeitung zu nutzen, wird also weiter bestehen bleiben können.

Es kann aber auch zu der Situation kommen, dass Betriebsvereinbarungen neu entworfen werden müssen, um den Anforderungen der DS-GVO zu entsprechen. Das heißt, dass angemessene Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte durch das Unternehmen geregelt werden müssen, um die Transparenz der Verarbeitung und die Übermittlung personenbezogener Daten konkret zu gewährleisten. Bei Verstößen gegen die Verordnung müssen Unternehmen mit sehr erheblichen Bußgeldern rechnen: Diese können sich auf bis zu 20 Millionen Euro oder im Falle eines Unternehmens auf bis zu vier Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs belaufen, je nachdem, welcher der Beträge höher ist.

Fazit:

Ein großer Wurf, der seine selbst gesetzten Ziele nicht ganz erreicht. Von Einheitlichkeit im gesamten europäischen Raum ist die DS-GVO zwar noch ein gutes Stück entfernt, zeigt aber die Richtung an, in die es zukünftig gehen soll. Einige abstrakte Formulierungen in der DS-GVO erlauben zwar keine hundertprozentig sichere Rechtsanwendung, schließen aber Rechtslücken aus der Vergangenheit. Das Fehlen von explizit genannten technischen Neuerungen in der DS-GVO ist leider ein Defizit, welches hätte vermieden werden müssen. Insgesamt ist die Datenschutz-Grundverordnung ein Schritt in die richtige Richtung, aber erst der Anfang auf einem weiten Weg.

Kommentar von Peter Jordan, Experte für IT-Risikomanagement und LKC-Gruppe